Google Knowledge Graph: problemi di Spoofing

Di recente abbiamo parlato dei problemi di sicurezza che molto probabilmente caratterizzeranno questo 2019. E oggi vogliamo restare in tema parlandovi di alcuni bug presenti nelle Knowledge Graph di Google.

Alcuni anni fa Wietze Beukema, esperto di sicurezza informatica, aveva rilevato delle vulnerabilità all'interno del Knowledge Graph, il riquadro informazioni che compare quando si eseguono delle ricerche. Sembrerebbe infatti che sia possibile creare delle ricerche fasulle semplicemente modificando parte dell'URL fornito da Google stessa.

Dopo aver effettuato una ricerca, se si clicca sul pulsante di condivisione presente in ogni scheda, verrà generato un link abbreviato (un indirizzo https://g.co/). Seguendo questo link verremo reindirizzati su Google.com con la query di ricerca originale. Fin qui tutto ok, ma se si osserva bene l'URL è possibile notare in particolare un parametro: & kgmid. Tale parametro esprime un valore che identifica in modo univoco l'informazione mostrata dalla scheda Knowledge Graph.

A quanto pare è possibile aggiungere questo parametro a qualsiasi URL di ricerca valido, cosi facendo ci verrà mostrata una scheda di Knowledge Graph accanto ai risultati che non corrispondono alle informazioni del Knowledge Graph. E' possibile ad esempio aggiungere la carta Knowledge Graph di Paul McCartney (kgmid = / m / 03j24kf) a una ricerca sui Beatles.

Tale bug, che può apparire innocuo, potrebbe diventare estremamente pericoloso nella mani sbagliate. Chi si occupa di generare fake news può sfruttare ad esempio questo bug per creare delle ricerche fasulle che, agli occhi di chi è poco esperto o poco informato, possono apparire veritiere e dunque generare disinformazione di massa.

Google offre anche un modo per visualizzare la scheda Knowledge Graph isolatamente e omettere i risultati della ricerca. Questo può essere fatto aggiungendo il parametro & kponly all'URL. Cosi facendo la scheda Knowledge Graph non sarà più visualizzata come pannello laterale, ma verrà spostata dove normalmente si vedono i risultati della ricerca.

Tuttavia in questi casi la barra di ricerca rimane ancora visibile con la query originale, anche se non vengono mostrati risultati di ricerca. Ad esempio si potrebbe mostrare solo la Knowledge Graph di Paul McCartney, ma la query, anche se non correlata, resterà ancora visibile.

Dunque è possibile abusare in diversi modi di questi due bug. Ovviamente esistono strategie di Spoofing più sofisticatce, ma entrambi i bug possono portare alla falsificazione di identità o di informazioni.

Beukema ha segnalato questa problematica, ma in questi anni nulla sarebbe stato fatto per risolverla e, anzi, Google avrebbe classificato la problematica come "risolta" nel proprio bug tracker, ignorando di fatto le richieste di Wietze Beukema e di altri esperti del settore.

Via Wietze Beukema